Sarah Webb, операционный директор и сооснователь LawVu — серия интервью

Sarah Webb — операционный директор и сооснователь LawVu. За её плечами — работа в сфере инженерии и руководства разработкой программного обеспечения, в том числе в LOVEFiLM и Amazon. Она пришла в LawVu в 2015 году на должность технического директора, а в 2020 году стала операционным директором, объединив опыт в области технологий, операционной деятельности, безопасности и корпоративного управления. В своей работе она помогает юридическим командам объединять данные и рабочие процессы, находя баланс между инновациями в области ИИ и корпоративными рисками.

LawVu предлагает операционную систему для штатных юридических команд, объединяющую прием запросов, юридические дела, договоры, расходы и знания на единой платформе. Возможности ИИ и интеграции помогают командам работать с уже используемыми инструментами, сохраняя контроль доступа и надзор. В этом интервью Webb рассказывает о теневом ИИ, агентных рабочих процессах, институциональных знаниях и основах, необходимых компаниям для контролируемого внедрения ИИ.

Вы основали LawVu после того, как большую часть карьеры посвятили созданию программных команд и руководству ими, в том числе в LOVEFiLM и Amazon. Что привело вас к мысли, что юридические операции внутри компаний — это проблема, которую стоит решить? И как менялось ваше первоначальное видение LawVu по мере того, как ИИ преобразовывал технологический ландшафт?

В начале карьеры я в основном работала в сфере инженерии и технологий, в том числе в LOVEFiLM и Amazon. Я не планировала переходить в юридические технологии — так сложились обстоятельства. Я работаю в LawVu уже почти 11 лет: сначала была техническим директором, но довольно быстро перешла на должность операционного директора. Уже одна эта перемена во многом изменила мой взгляд на бизнес.

Поначалу мы прежде всего стремились сделать работу юридических команд более прозрачной. Большинство клиентов переходили с Outlook и таблиц Excel, и уже возможность собрать всё в одном месте казалась большим достижением. Затем команды стали переходить на удалённую работу, а без централизованной платформы сотрудничать стало ещё сложнее. Это подтвердило то, что мы уже замечали: многие рутинные юридические задачи не ценились и даже оставались незаметными для остальной компании, потому что их негде было увидеть. В тот период нам пришлось всерьёз обучать клиентов тому, как структурировать данные и управлять внутренними изменениями, а не просто передавать им инструмент.

Мы также с самого начала создали интеграции со всем набором продуктов Microsoft, потому что всегда стремились встроиться в привычные повседневные рабочие процессы компании, а не заставлять команды отказываться от знакомых инструментов. С тех пор изменился масштаб требований к этой идее. Раньше снижение порога входа для получения пригодного к использованию набора данных было вопросом удобства. Теперь от этого зависит, сможет ли ИИ действительно выполнять юридическую работу или лишь отражать её прежнюю разобщённость.

Вы утверждали, что «теневой ИИ» — это чаще проблема рабочих процессов, а не сотрудников. Что это означает на практике и какие выводы могут сделать организации, когда сотрудники обходят одобренные инструменты или системы ИИ и предпочитают им собственные решения?

Если не предоставить сотрудникам подходящие инструменты внутри компании, они найдут собственные — ради повышения эффективности. В этом и заключается корень проблемы. Когда кто-то обходит одобренную систему, первая реакция — считать это нарушением требований, которое нужно пресечь или запретить правилами. На практике такое поведение обычно говорит о проблемах самого рабочего процесса: одобренный путь оказался медленнее или неудобнее альтернативы, поэтому люди нашли способ обойти его.

Именно поэтому теневой ИИ — куда более серьёзный источник риска, чем когда-либо был теневой ИТ. На инциденты, связанные с теневым ИИ, сейчас приходится 20 процентов утечек данных, а средний ущерб составляет 10,2 миллиона долларов. Дело в том, что люди не просто начинают пользоваться неразрешённым инструментом — они напрямую передают ему конфиденциальные материалы: формулировки договоров, условия сделок, внутренние рассуждения.

Организациям важно понять, где именно возникает пробел. Отсутствие безопасной и надёжной альтернативы не мешает людям обращаться к ИИ, а лишь подталкивает их делать это там, где вы не можете этого увидеть. Есть и более глубокий риск, выходящий за рамки безопасности. Когда работа ведётся в разрозненных личных инструментах ИИ, а не в общей структурированной системе, компания принимает решения, опираясь на неполную картину, и даже не подозревает, что часть данных отсутствует. Если инструмент ИИ видит только 60 процентов релевантных данных, потому что остальная информация хранится в личном аккаунте сотрудника, точность его выводов снижается, а вероятность ошибочного решения растёт. Запрет обходного решения ничего из этого не исправит. Исправить ситуацию можно, предложив людям вариант лучше обходного решения.

Работая с сотнями корпоративных юридических команд через LawVu, с какими наиболее распространёнными ошибками организаций при выстраивании управления ИИ вы сталкиваетесь, особенно по мере того, как сотрудники получают доступ ко всё более мощным универсальным инструментам ИИ?

Самая распространённая ошибка — принимать письменную политику за реальный механизм контроля. Сейчас у многих организаций есть документ с правилами о том, как следует и как не следует использовать ИИ. Но очень немногие создали на его основе работающие механизмы, которые действительно регулируют доступ инструмента к данным, фиксируют его действия и позволяют впоследствии восстановить их последовательность, если возникнет такая необходимость.

Вторая ошибка — не учитывать, насколько возрастает риск с каждым новым инструментом. Каждое точечное решение, которое внедряет команда, будь то для работы с договорами, расходами или приемом запросов, требует собственной интеграции, использует собственный протокол аутентификации и хранит собственную копию конфиденциальных данных. По отдельности все это кажется вполне управляемым. Но вместе такие решения превращают технологический стек юридической службы в разрозненную сеть рисков, а более трети утечек связаны именно с таким доступом со стороны третьих лиц. Большинство команд не осознают масштаб проблемы, пока им самим не приходится проходить проверку после того, как что-то пошло не так.

Третья ошибка — относиться к универсальным инструментам ИИ иначе, чем к любому другому программному обеспечению, работающему с конфиденциальными данными. С самого начала работы с нами каждый клиент, включая государственные организации, проходит полную проверку безопасности, потому что в такой системе, как наша, оказываются одни из самых чувствительных данных компании: коммерческая тайна, данные о слияниях и поглощениях (M&A), персональные данные (PII). Между тем сотрудники каждый день передают данные того же рода общедоступным инструментам ИИ, не подвергая их даже приблизительно столь же строгой проверке. Причина в том, что это не воспринимается как подключение нового поставщика — кажется, что человек просто пользуется инструментом. Именно этот разрыв между тем, что проходит аудит, и тем, что на самом деле несет риск, приводит к провалу большинства программ управления.

LawVu внедряет агентов ИИ и агентные рабочие процессы в юридическую деятельность. Как вы определяете, какие юридические процессы подходят для автономного выполнения с помощью ИИ, а какие всегда должны требовать проверки или одобрения человека?

Мы в первую очередь оцениваем последствия ошибки и возможность ее исправить, а не то, насколько сложным процесс выглядит на бумаге. Если ошибку легко обнаружить и исправить, такой процесс обычно хорошо подходит для автоматизации. Поэтому большие объемы четко определенной работы, например прием и первичная сортировка запросов, как правило, хорошо поддаются автоматизации.

Если процесс связан с обязательствами перед третьими лицами, юридическими рисками или решением, которое трудно отменить, в нем обязательно должен участвовать человек — даже если на испытаниях агент демонстрирует высокую точность. Тот же принцип лежит в основе нашего более общего подхода к допустимому уровню риска в LawVu. Мы определяем, с каким уровнем риска команда может смириться, устанавливаем необходимые средства контроля и лишь после этого расширяем применение системы. Главное — не точность, а возможность установить, к каким данным обращался агент, почему он совершил это действие, было ли оно ему разрешено и можем ли мы впоследствии это доказать. Если мы не можем ответить на эти вопросы, процесс еще не готов к автономной работе.

Такие решения нельзя принять раз и навсегда: процесс, который сегодня безопасно автоматизировать, может перестать быть безопасным по мере роста масштабов использования или если рабочий процесс начнет затрагивать более чувствительные данные, чем прежде. Поэтому установленные границы нужно пересматривать, а не определять один раз.

Сервер MCP LawVu позволяет организациям напрямую подключать такие инструменты, как ChatGPT, Claude и Microsoft Copilot, к своей юридической рабочей среде. Как компаниям предоставить внешним системам ИИ полезный доступ к корпоративным данным и при этом сохранить управление правами доступа, возможность аудита, конфиденциальность и контроль?

Кажется, будто подключенность и безопасность противоречат друг другу, но это не обязательно так. Источником достоверных сведений о правах доступа должна оставаться платформа, а не работающий поверх нее инструмент ИИ. Независимо от того, начинает ли человек разговор в ChatGPT, Claude или Copilot, его возможности просматривать данные и выполнять действия не должны меняться в зависимости от того, какой интерфейс он открыл.

Это возможно лишь в том случае, если на принимающей стороне еще до подключения уже настроены необходимые средства контроля. Именно такую подготовительную работу большинство компаний и пропускают. Все считают MCP автоматическим повышением безопасности, поскольку при его использовании перемещается меньше данных. Это действительно так, но только если принимающая система может указать, к каким данным обращались, почему, какой агент это сделал и от чьего имени, а также подтвердить это впоследствии.

Есть и деловые преимущества. Если центральный инструмент ИИ способен распознавать запросы, связанные с юридическими вопросами, и автоматически направлять их в LawVu, сотрудникам больше не придется выяснять, в какую систему обращаться. Кроме того, они не станут прибегать к личным инструментам ИИ, у которых вообще нет доступа к проверенному защищенному набору данных. Единая хорошо управляемая отправная точка в итоге способствует внедрению эффективнее, чем полный запрет на доступ.

Универсальные модели ИИ могут быть мощными, но им часто недостает институциональной памяти организации, сведений о принятых ранее решениях и понимания ее специфического профиля рисков. Какая информация и инфраструктура необходимы модели ИИ, чтобы она стала действительно полезной для ответственной работы в крупной компании?

Я представляю универсальный ИИ как блестящего незнакомца: он прочитал невероятно много, прекрасно пишет и может поддержать беседу почти на любую тему. Но он никогда не встречался с вашим клиентом. Он не участвовал в ваших переговорах. Он не знает, как ваша организация подходит к оценке рисков. Он никогда не видел обсуждений, которые привели к исключениям, согласованным вашей командой шесть месяцев назад.

Именно поэтому многие юридические команды в первую очередь подключают ИИ к своду правил и рекомендаций — и важно подчеркнуть, что это чрезвычайно полезно. Если предоставить модели ИИ доступ к предпочтительным формулировкам условий, запасным вариантам, порогам согласования и рекомендациям по ведению переговоров, эффективность повышается почти сразу. Сложность в том, что самые важные юридические решения часто приходится принимать, когда стандартная позиция уже не подходит: стратегическому клиенту нужно сделать исключение, возможность быстрого роста оправдывает дополнительный риск или переговоры доходят до момента, когда коммерческие приоритеты перевешивают предпочтительную формулировку условия.

Именно в таких ситуациях становится заметна роль юридического суждения. Некоторые из самых ценных знаний хранятся не в своде правил, а в исключениях. Почему мы сделали исключение для этого клиента? Что произошло, когда мы в прошлый раз согласовывали эту позицию с тем же контрагентом? Принимала ли компания такой риск в других случаях? Поднимался ли этот вопрос ранее на более высокий уровень и какое решение в итоге приняли?

Ответы редко можно найти в одном документе: они разбросаны по договорам, согласованиям, электронной переписке, материалам дел, протоколам встреч и знаниям, накопленным людьми, которые участвовали в происходившем. В документе лишь зафиксирован итог, а логика принятого решения сохраняется в других местах.

Блестящий незнакомец может на удивление быстро усвоить правила, но понять, почему их вообще пришлось нарушить, — совсем другая задача. Полезный ИИ отличается от ИИ, способного преобразить работу, прежде всего тем, насколько много собственного опыта организация сохранила, чтобы ИИ мог на нём учиться.

Во многих компаниях накопились разрозненные системы для работы с договорами, инструменты управления юридическими делами, электронные таблицы, архивы электронной почты и другие источники корпоративных знаний. Насколько важно сформировать единую основу данных до внедрения ИИ-агентов и что организации нужно сделать, чтобы данные действительно были готовы к работе с ИИ?

Юридическая функция — наглядный пример того, почему это важно: договоры редактируют в Word с помощью рецензирования, согласования проводят по электронной почте, решения принимают в Slack, а затем ИИ просто добавляют поверх хранилища документов, вместо того чтобы действительно связать рабочие процессы. Если надстроить ИИ над разрозненной системой, хаосом просто станет легче пользоваться.

Компании, которые ещё до появления ИИ годами выстраивали полноценную инфраструктуру данных и приводили свои системы в порядок, уже получают отдачу от ИИ. В этом и заключается суть. Нельзя масштабировать работу агентов поверх разрозненных систем для работы с договорами, инструментов управления юридическими делами, электронных таблиц и архивов электронной почты, рассчитывая на достоверные результаты. Сначала нужно заложить основу: объединить системы, чётко определить права доступа и установить допустимый уровень риска. И только после этого можно думать о масштабировании ИИ.

Когда компании решают, создавать ли собственные приложения на базе ИИ, приобретать ли специализированные платформы ИИ или подключать ли универсальные модели к существующим системам, как техническим руководителям следует подходить к выбору между разработкой, покупкой и интеграцией?

Выбор между разработкой и покупкой кажется технологическим вопросом. Но, по моему опыту, на самом деле это вопрос зрелости юридической функции. Речь о том, насколько серьёзно юридическая команда относится к своей роли в компании и выстраивает собственные рабочие процессы, данные и операционную модель. Если правильно решить вопрос зрелости, подходящая стратегия применения ИИ в юридической функции, как правило, складывается сама собой.

Что касается разработки: для немногих команд, располагающих ресурсами, чтобы работать как компания-разработчик программного обеспечения, такой вариант может быть оправдан. Модели развиваются, инфраструктура меняется, и эта работа никогда по-настоящему не заканчивается. Для большинства команд сложность заключается не в том, чтобы однажды создать решение, а в том, чтобы поддерживать его постоянно.

Что касается покупки: большинство команд выбирают этот путь, но под «покупкой» подразумевается не один вариант. Обычно под этим понимают как минимум три совершенно разных подхода. Универсальный ИИ, например ChatGPT, Copilot и Claude, обладает широкими возможностями, но сам по себе не понимает структуру юридических дел, порядок их регистрации и процессы согласования. Подключение ИИ к отдельному специализированному решению, например с помощью MCP, — существенный шаг вперёд, однако возможности ИИ по-прежнему ограничены тем, что доступно в этой конкретной системе.

Более перспективный подход — ИИ, который понимает, как связаны между собой разные направления работы юридической функции, а не только то, что происходит в отдельном инструменте. Когда регистрация запросов, юридические дела, договоры, расходы и знания собраны в одном месте, ИИ может анализировать ситуацию в целом, а не только её отдельный фрагмент.

Вы работали в LawVu и техническим директором (CTO), и операционным директором (COO), отвечая за технологии, операционную деятельность, безопасность и реализацию продуктовой стратегии. Как сочетание этих ролей повлияло на ваш подход к поиску баланса между стремительным развитием ИИ и требованиями безопасности, соблюдения нормативных требований, надёжности и управления рисками для бизнеса?

Я пришла в LawVu на должность технического директора (CTO) в 2015 году, а в 2020 году также взяла на себя обязанности операционного директора (COO). Таким образом, я уже более десяти лет работаю одновременно в сферах технологий и операционной деятельности.

Такое сочетание меняет подход к инновациям в области ИИ, безопасности и соблюдению требований: вы не воспринимаете их как отдельные темы. Я отвечаю за внутреннее управление, риски и соблюдение требований, а также создаю платформу, которая помогает клиентам управлять теми же направлениями. Поэтому я не могу считать инновации и безопасность последовательными этапами: одно не следует за другим — они либо происходят одновременно, либо не происходят вовсе. С самого начала каждый наш клиент проходил полную проверку безопасности, а всякий раз, когда вы добавляете в свою экосистему новый инструмент, увеличивается спектр рисков, связанных с этими данными. Для нас внутри компании это так же справедливо, как и для наших клиентов, поэтому создание платформы и ответственность за то, как ею управляют, требуют учитывать оба аспекта одновременно.

Как, по вашим ожиданиям, агентный ИИ изменит роль юридических отделов компаний? Будут ли юридические подразделения в первую очередь использовать ИИ для повышения продуктивности или со временем они могут стать надзирателями за преимущественно автономными рабочими процессами, охватывающими всю организацию?

Генеративный ИИ сместил акцент с постепенного повышения эффективности на принципиальное переосмысление того, как выполняется юридическая работа и какой должна быть операционная модель в мире, где стремительно развиваются агентные возможности. Я воспринимаю агентный ИИ не как шумиху, а как уровень исполнения, который может помочь юридическим подразделениям перейти от управления работой к её непосредственному выполнению — при наличии необходимых механизмов контроля и ограничителей.

Сейчас в организациях меняется точка входа: сотрудники всё чаще начинают работу с таких инструментов, как Microsoft Copilot или Claude, и возникает вопрос, как юридическому подразделению обеспечить связь этих взаимодействий с нужными системами, данными и рабочими процессами.

Я не противопоставляю повышение продуктивности и надзор — для меня это последовательные этапы. Сначала юридические подразделения используют ИИ, чтобы быстрее справляться с отдельными задачами, но по мере развития агентных возможностей появляется реальный шанс взять под контроль сам уровень исполнения и выполнять работу через системы с надлежащим управлением, а не просто быстрее готовить первые версии документов.

Спасибо за прекрасное интервью! Читателям, которые хотят узнать больше о взаимосвязанных юридических операциях и управляемых рабочих процессах с ИИ, стоит посетить LawVu.